ASP.NET Misconfiguration: Weak Password Protection

以純文字方式儲存密碼或使用簡單的加密方法可能危及系統安全。

ASP.NET 應用程式可在 web.config 檔案中的<credentials> 元素中為 ASP.NET 應用程式儲存使用者名稱和密碼組，其支援純文字、MD5 和 SHA1 密碼格式。

以純文字方式儲存密碼或使用簡單的加密演算法，可讓任何擁有應用程式組態設定檔案存取權的人存取該密碼。這可能包括那些應用程式所寄宿的機器或者存放應用程式的原始碼儲存庫。

範例 1：以下的 web.config 項目錯誤的將其密碼以純文字方式儲存。

<configuration>
  <system.web>
    <authentication>
      <forms protection="All">
	   <credentials passwordFormat="Clear">
   		<user name="user1" password="my_password"/>
		<user name="user2" password="my_password1"/>
        </credentials>
    	 </forms>
    </authentication>
  </system.web>
</configuration>

ASP.NET 支援以 3 種格式儲存的憑證密碼，由 configuration/system.web/authentication/forms/credentials 元素中的 passwordFormat 屬性所定義。此屬性可能的值如下：

Clear - 表示密碼以純文字形式儲存 (安全程度最低)
MD5 - 表示儲存密碼的 MD5 雜湊資料
SHA1 - 表示儲存密碼的 SHA1 雜湊資料 (安全程度最高)

雖然 MD5 hash 儲存的安全性比純文字儲存高，但研究人員已發現了針對 MD5 hash 演算法的暴力攻擊方式。同時，SHA1 hash 仍然提供了防止此類攻擊的有效保護。